Nätsäkerhetsavdelningen
Post- och telestyrelsen
Postadress: Besöksadress: Telefon: 08-678 55 00
Box 5398 Valhallavägen 117 Telefax: 08-678 55 05
102 49 Stockholm www.pts.se pts@pts.se
Konsekvensutredning avseende föreskrifter om krav på driftsäkerhet
Post- och telestyrelsen (PTS) avser att med stöd av 30 § förordningen (2003:396) om elektronisk kommunikation utfärda föreskrifter avseende tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet, nedan kallade föreskrifterna.
PTS redovisar härmed sin utredning enligt förordning (2007:1244) om konsekvensutredning vid regelgivning.
Sammanställning av uppskattning av kostnader, se bilaga 1.
Innehåll
1 Inledning ... 5
2 Bakgrund till regleringen ... 6
3 Beskrivning av problemet och vad PTS vill uppnå ... 8
3.1 Användningen fortsätter att öka ... 8
3.2 Samhället blir allt mer beroende av elektronisk kommunikation ... 9
3.3 Vad vill PTS uppnå med nya föreskrifter ... 10
3.4 Områden som kravställs i föreskrifterna ... 10
4 Alternativa lösningar och vilka effekterna blir om någon föreskrift inte kommer till stånd ... 12
4.1 Justering av vissa begrepp i de allmänna råd som finns idag eller framtagning av nya allmänna råd ... 12
4.2 Detaljerade krav på ”hur” i stället för teknikneutrala krav på ”vad” 13 4.3 Att fastställa krav på en högre abstraktionsnivå ... 13
4.4 PTS bedömning av det mest lämpliga regleringsalternativet ... 14
5 Uppgifter om vilka som berörs av regleringen ... 15
6 Uppgifter om vilka kostnadsmässiga och andra konsekvenser föreskrifterna medför ... 16
6.1 Sociala konsekvenser ... 16
6.2 Ekonomiska konsekvenser... 17
6.3 Miljömässiga konsekvenser ... 18
7 Rimlighet och driftsäkerhet ... 20
8 Bedömning av om regleringen överensstämmer med skyldigheter som följer av Sveriges anslutning till EU ... 21
9 Bedömning om förändringar för kommuner etc. ... 22
10 Företag ... 23
10.1 Beskrivning av antalet tillhandahållare som berörs, vilka branscher de är verksamma i samt storleken på dessa ... 23
11 Föreskrifternas innehåll och konsekvenser... 25
11.1 Definitioner ... 25
11.2 Föreskrifternas krav ... 27
11.2.1 Övergripande driftsäkerhetsarbete... 27
11.2.2 Dokumentation av tillgångar och förbindelser ... 31
11.2.3 Riskanalys och konsekvensanalys... 33
11.2.4 Planering för och hantering av inträffade händelser som kan orsaka störningar eller avbrott ... 39
11.2.5 Åtgärder efter riskbedömning ... 44
11.2.6 Hot som måste beaktas i riskanalyser ... 47
11.2.7 Åtgärder avseende åtkomst och behörighet ... 52
11.2.8 Åtgärder avseende övervakning och beredskap ... 54
11.2.9 Åtgärder avseende redundans och reservkraftsförsörjning ... 56
11.2.10 Redundans av tillgångar ... 58
11.2.11 Redundans av förbindelser... 63
11.2.12 Reservkraftsystem... 66
11.2.13 Undantag ... 74
12 Bedömning av om särskilda hänsyn behöver tas när det gäller tidpunkt för ikraftträdande och om det finns behov av speciella informationsinsatser ... 77
13 Beskrivning av påverkan på konkurrensförhållandena ... 79
14 Beskrivning av om särskild hänsyn behöver tas till små tillhandahållare .. 81
15 PTS samråd med marknaden ... 83
16 Avslutning ... 84
16.1 Underrättelse för anmälan till Europeiska kommissionen ... 84
16.2 Kontaktpersoner ... 84
Bilaga 1 Sammanställning av kostnader och hur de har uppskattats ... 85
Investeringskostnader ... 85
Tidsuppskattningar för administrativa och övriga timbaserade kostnader .... 86
Timkostnad ... 86
Kategorisering av företag ... 86
Sammanställning administrativa kostnader ... 87
Sammanställning övriga timbaserade kostnader ... 87
1 Inledning
Post- och telestyrelsen (PTS) är sektorsmyndighet för området elektronisk kommunikation i Sverige.
Enligt 5 kap. 6 b § lagen (2003:389) om elektronisk kommunikation (LEK) ska den som tillhandahåller elektroniska kommunikationsnät eller allmänt
tillgängliga elektroniska kommunikationstjänster vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet.
Enligt 30 § förordning (2003:396) om elektronisk kommunikation får PTS utfärda föreskrifter om på vilket sätt skyldigheten enligt 5 kap. 6 b § LEK ska fullgöras.
Syftet med nu föreslagna föreskrifter är främst att förtydliga vilka tekniska och organisatoriska åtgärder som tillhandahållare ska vidta för att säkerställa en rimlig nivå av driftsäkerhet vid tillhandahållande av allmänna
kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster.
I den fortsatta framställningen används begreppen ”kommunikationsnät” eller
”nät” synonymt med begreppet ”allmänt kommunikationsnät”, definierat i LEK. Vidare används begreppen ”kommunikationstjänst” eller ”tjänst”
synonymt med begreppet ”elektronisk kommunikationstjänst”, även detta definierat i LEK. Med ”tillhandahållare” avses nedan såväl tillhandahållare av nät som av tjänster.
2 Bakgrund till regleringen
Tillhandahållare av kommunikationsnät och -tjänster är skyldiga att säkerställa att verksamheten, t.ex. tillhandahållandet av en bredbands- eller telefonitjänst, uppfyller en grundläggande, rimlig nivå av driftsäkerhet. Driftsäkerhetskravet framgår av 5 kap. 6 b § LEK som lyder:
Den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet. De åtgärder som vidtas ska vara ägnade att skapa en säkerhetsnivå som, med beaktande av tillgänglig teknik och kostnaderna för att genomföra åtgärderna, är anpassad till risken för störningar och avbrott. Regeringen eller den myndighet som regeringen bestämmer får meddela föreskrifter om på vilket sätt skyldigheten ska fullgöras och om undantag från skyldigheten.
Begreppet ”driftsäkerhet” infördes i bestämmelsen år 2011. Dessförinnan användes begreppet ”god funktion och teknisk säkerhet”, vilket också var det begrepp som PTS använde när myndigheten utfärdade allmänna råd 20071. Enligt de befintliga allmänna råden bör den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska kommunikations- tjänster bedriva ett långsiktigt och framåtsyftande säkerhetsarbete. Vidare stadgar de allmänna råden att tillhandahållare regelbundet bör genomföra riskanalyser och bedöma på vilket sätt riskerna ska hanteras, samt skapa rutiner för riskhantering. Tillhandahållare bör även skapa rutiner för hantering av avbrott och störningar samt rutiner för uppföljning av inträffade incidenter etc.
De befintliga allmänna råden är alltjämt relevanta för det driftsäkerhetsarbete som bedrivs inom sektorn. Vissa benämningar och uttryck är dock i behov av justering, bl.a. mot bakgrund av de språkliga förändringarna i 5 kap. 6 b § LEK.
Därtill har PTS bedömt att de åtgärder, t.ex. genomförande av riskanalyser, som beskrivs i de allmänna råden är så fundamentala för ett fullgott driftsäkerhets- arbete att de ska omsättas till föreskrifter.
Utöver en sådan revision av de befintliga allmänna råden har PTS, mot
bakgrund av den ökade användningen och det ökande beroendet av elektronisk kommunikation (beskrivet nedan), identifierat ett behov av att ställa flera krav och ytterligare tydliggöra för slutanvändare och tillhandahållare vilka åtgärder som måste vidtas för att uppnå en rimlig nivå av driftsäkerhet i nät och tjänster.
Detta genom att ställa krav på tillhandahållare att dessa ska vidta skyddsåtgärder inom vissa angivna områden, vilka PTS, genom t.ex. tillsyn, inrapporterade incidenter, risk- och sårbarhetsanalys för sektorn, samråd eller annan utredning, har funnit är särskilt viktiga för att säkerställa driftsäkerheten.
Det kan även nämnas att liknande regelverk redan är framtagna i Finland2 och Norge3. De sakområden som PTS nu har för avsikt att reglera omfattas i stort av dessa länders föreskrifter. Detta innebär att tillhandahållare som är
1 Post- och telestyrelsens allmänna råd om god funktion och teknisk säkerhet samt uthållighet och tillgänglighet vid extraordinära händelser i fredstid (PTSFS 2007:2).
2 Föreskrift om säkerställande av kommunikationsnät och kommunikationstjänster, 54 A/2012
3 Minstekrav til reservestrømkapasitet i landmobile nett, PT-ref. 1402794
verksamma även i Finland och Norge kommer att kunna känna igen, och till viss del även vara förberedda på, sådana krav, även om regleringen och skyddsåtgärderna måste anpassas efter respektive lands marknad och förutsättningar i övrigt.
3 Beskrivning av problemet och vad PTS vill uppnå
Störningar och avbrott i elektroniska kommunikationsnät och -tjänster inträffar dagligen. De störningar och avbrott som är av betydande omfattning ska, sedan 2011, rapporteras in till PTS4, vilket bidragit till att myndigheten har en god bild av dessa allvarliga störningar och avbrott. PTS ser inte någon tydlig trend som indikerar att antalet betydande störningar och avbrott är på väg att minska.
Samtidigt kan PTS konstatera att det finns två tydliga trender som innebär att kraven på driftsäkerhet i nät och tjänster måste tydliggöras. Den första trenden är att användningen av elektroniska kommunikationstjänster fortsätter att öka i samhället. Den andra trenden är att beroendet av elektronisk kommunikation även det fortsätter att öka. Nedan beskrivs dessa två trender.
3.1 Användningen fortsätter att öka
En av anledningarna till att PTS nu har för avsikt att föreskriva om krav på driftsäkerhet är att användandet av elektroniska kommunikationstjänster fortsätter att öka i samhället. PTS upprättar och publicerar fortlöpande rapporten Svensk Telemarknad, en rapport med statistik hänförlig till
marknaden för elektronisk kommunikation. Ur statistikunderlaget framgår bl.a.
att antalet fasta abonnemang för ip-baserad telefoni ökar. Den 30 juni 2014 utgjorde denna abonnemangsform 44 procent av totalt 3,9 miljoner fasta telefoniabonnemang. Antalet PSTN-abonnemang (traditionella fasta
telefoniabonnemang) är dock på nedgång allteftersom tillhandahållarna byter ut äldre nättekniker mot nyare och användare väljer att gå över till mobila
kommunikationstjänster. Totalt sett minskar antalet fasta abonnemang, samtidigt som marknaden för mobila samtals- och datatjänster fortsätter att växa. Det sker således en tydlig övergång från fasta anslutningar till mobila kommunikationsnät.
Under senare år har antalet mobilabonnemang ökat markant och den 30 juni 2014 fanns 14 miljoner mobilabonnemang. Förutom dessa abonnemang finns även abonnemang för telematik, dvs. abonnemang som används för maskin-till- maskin-kommunikation, vilka ökade med 23 procent till 5 578 000, jämfört med samma tid året innan. Mängden data som transporteras i mobilnäten blir också allt större. Första halvåret 2013 överfördes totalt 164 000 terabyte, en ökning med 31 procent jämfört med samma period föregående år.
Antalet bredbandsabonnemang via fiber och fiber-LAN var över 1,3 miljoner i slutet av juni 2014, en ökning i antal med 21 procent jämfört med samma tidpunkt året innan. Dessa abonnemang är nu fler än antalet xDSL-
abonnemang. Antalet mobila bredbandsabonnemang uppgick till 8,1 miljoner det första halvåret 2014, vilket är en ökning med 7 procent, sedan första halvåret 2013.
4 När och hur rapportering ska ske och vad rapporterna ska innehålla framgår av PTS föreskrifter och allmänna råd om rapportering av störningar eller avbrott av betydande omfattning PTSFS 2012:2.
Siffrorna redovisade ovan talar sitt tydliga språk. Användningen av elektroniska kommunikationstjänster ökar sammantaget stadigt i Sverige, vilket ställer höga krav på fortlöpande expansion och utveckling av nät och tjänster.
3.2 Samhället blir allt mer beroende av elektronisk kommunikation
I takt med att sektorn elektronisk kommunikation stadigt växer har den även fått allt större betydelse i samhället. Detta gäller inte enbart för privatpersoner och företag, många samhällsfunktioner är idag också allt mer beroende av att kunna utbyta information elektroniskt mellan individer, organisationer och tekniska system. Detta informationsutbyte är särskilt viktigt vid olyckor, kriser samt vid andra allvarliga händelser som på olika sätt prövar vårt samhälle.
Orsakerna till det ökade beroendet av elektronisk kommunikation är många, t.ex. framtagning och ökad användning av e-tjänster inom offentlig och privat sektor, förändrad mediekonsumtion och framväxten av ip-tv-tjänster. Förutom att olika typer av system, exempelvis faktura- och ordersystem, är beroende av uppkoppling läggs också allt fler tjänster ut i det så kallade ”molnet”. Vi går även mot ett mer kontantlöst samhälle, där betalningsströmmar är helt beroende av elektroniska kommunikationer. Dagens infrastruktur blir då en mycket kritiskt faktor för säkra och fungerande transaktioner.
Samhällets och individers förväntningar på att kunna vara uppkopplad jämt och att kunna använda alla tjänster på alla olika plattformar påverkar också
efterfrågan och användningen av tjänsterna. Trenden går mot att användare vill och behöver nyttja alla tjänster överallt och hela tiden. Detta ställer stora krav på driftsäkerheten i de elektroniska kommunikationsnäten. Kraven på
driftsäkerhet kommer sannolikt inte heller minska i framtiden utan snarare öka ytterligare allteftersom innehållstjänster blir allt mer realtidskritiska och allt mer kapacitet krävs av näten, då mängden data som transporteras hela tiden ökar och näten dessutom används av allt fler.
Allteftersom komplexiteten i näten och tjänsterna ökar, ökar även risken för att störningar och avbrott ger fler drabbade och mer svårlösta fel. PTS noterar en tydlig övergång från äldre tekniker till att allt fler tjänster förmedlas genom ip- teknik. Användare har flyttats och flyttas alltjämt över till, och blir helt beroende av, olika ip-plattformar. I jämförelse med t.ex. äldre kretskopplad teknik är ip-plattformarna mer centraliserade. Centraliseringen kan t.ex.
innebära ökade möjligheter till övervakning och kontroll och därmed också minskade kostnader för tillhandahållaren, men innebär också att störningar och avbrott i tjänsteplattformarna drabbar många fler användare än tidigare
tekniker. Trots befintliga allmänna råd visar tillsyn som PTS har bedrivit, med stöd av de allmänna råden, med anledning av ett flertal omfattande och långvariga störningar och avbrott i ip-baserade telefoniplattformar att
driftsäkerhetsarbetet som tillhandahållarna bedriver för ip-plattformar har varit bristfälligt och inte tillräckligt anpassat för komplexiteten i den nya tekniken, samtidigt som användarnas beroende av ip-tjänsterna som nämnts ökar.
3.3 Vad vill PTS uppnå med nya föreskrifter PTS har följande syften med föreskrifterna:
1. Att tydliggöra för tillhandahållare vilka skyddsåtgärder som ska vidtas för att säkerställa att verksamheten uppfyller rimliga krav på
driftsäkerhet.
2. Att, genom att ställa krav på skyddsåtgärder, öka driftsäkerheten i nät och tjänster.
3. Att tydliggöra för slutanvändare vilken driftsäkerhet de kan förvänta sig från sina tillhandahållare.
Marknadens aktörer är skyldiga att utifrån ett samhälleligt, inte kommersiellt, perspektiv upprätthålla en rimlig nivå av driftsäkerhet i sina nät och tjänster. Ett av syftena med föreskrifterna är således att tydligare etablera den grundläggande nivå av driftsäkerhet som ska upprätthållas i nät och tjänster genom att konkret ange områden för vilka tillhandahållare måste vidta skyddsåtgärder samt att säkerställa att dagens skyddsnivå inte sänks. För vissa områden ställer PTS krav på vad som konkret måste uppnås med en skyddsåtgärd, men inte hur detta ska åstadkommas. Det gäller krav avseende redundans och vissa krav avseende reservkraft.
Ett av målen med föreskrifterna är att minimera antalet och omfattningen av störningar och avbrott i nät och tjänster och deras konsekvenser. Genom att ställa krav på skyddsåtgärder som tillhandahållare måste vidta för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet kommer
driftsäkerheten i näten och tjänsterna, enligt PTS bedömning, att förbättras.
Vidare syftar regleringen med en grundläggande driftsäkerhetsnivå till att göra det tydligare för användarna vad de kan förvänta sig för miniminivå vad gäller driftsäkerhet, framför allt vad gäller nivån på redundans och reservkraft. Med en tydlig grundläggande driftssäkerhetsnivå blir det också lättare för
samhällsviktiga användare och andra med behov av en högre nivå av
driftsäkerhet att säkerställa att de har tillgång till och beställer och betalar för den nivå de behöver, utöver grundnivån. I sammanhanget kan påpekas att de krav på grundläggande driftsäkerhetsnivå som föreskrivs inte är tillräckliga för att möta de höga krav på driftssäkerhet som exempelvis ett sjukhus med mycket stort behov av ständigt fungerade elektroniska kommunikationer måste ställa.
3.4 Områden som kravställs i föreskrifterna
En rad hot kan leda till störningar och avbrott i elektroniska kommunikations- nät och -tjänster. PTS gör årligen en analys av hot, sårbarheter och risker som utgår från en systemmodell som används för att relatera olika händelser till bedömningar av sannolikheten för, och omfattningen av, negativa samhälleliga konsekvenser5. PTS granskar och analyserar även de större incidenter som inträffat under året, vilka tillhandahållarna är skyldiga att rapportera6. Vidare genomför myndigheten både händelsestyrda och planlagda tillsyner inom
5 Risk- och sårbarhetsanalys för sektorn elektronisk kommunikation, Myndighetens redovisning för 2013 samt Driftsäkerhet i elektroniska kommunikationer – PTS-ER-2013:12
6 Post- och telestyrelsens föreskrifter och allmänna råd om rapportering av störningar eller avbrott av betydande omfattning – PTSFS 2012:2
driftsäkerhetsområdet, samt bedriver en löpande omvärldsbevakning.
Sammantaget leder dessa åtgärder till att PTS har en god kännedom om vilka områden som bör hanteras i en tillhandahållares verksamhet för att en rimlig nivå av driftsäkerhet kan upprätthållas. Dessa områden omfattas av
föreskrifterna och utgörs av krav på:
1. övergripande driftsäkerhetsarbete,
2. dokumentation av tillgångar och förbindelser, 3. riskanalys och konsekvensanalys,
4. incidenthantering, 5. kontinuitetsplanering,
6. intrång och annan yttre påverkan, 7. väderrelaterade hot,
8. planerade förändringar, 9. åtkomst och behörighet, 10. övervakning och beredskap, 11. redundans av tillgångar, 12. redundans av förbindelser,
13. reservkraftssystem för klassificerade tillgångar,
14. reservkraftssystem för mobila kommunikationstjänster, och 15. processer för reservkraft
Den närmare problembeskrivningen och motiven till kraven inom respektive område kommer att redogöras för under respektive krav eller grupp av krav nedan.
4 Alternativa lösningar och vilka
effekterna blir om någon föreskrift inte kommer till stånd
PTS har utvärderat följande alternativ till de föreslagna föreskrifterna avseende rimliga krav på driftsäkerhet enligt 5 kap. 6 b § LEK:
att endast justera vissa begrepp i de idag gällande allmänna råden,
att utfärda nya allmänna råd,
att utfärda föreskrifter och i dessa ställa detaljerade krav på hur tillhandahållare ska uppnå ett visst skydd, istället för att, som i föreliggande förslag, uppställa krav på vad som ska uppnås, eller
att fastställa miniminivåer av tillgänglighet för olika tjänster.
Nedan redogör PTS för myndighetens bedömning av konsekvenserna av de olika regleringsalternativen.
4.1 Justering av vissa begrepp i de allmänna råd som finns idag eller framtagning av nya allmänna råd År 2007 utfärdade PTS allmänna råd om driftsäkerhet med stöd av dåvarande lydelse i 5 kap. 6 a § LEK (nuvarande 5 kap. 6 b § LEK). Ett alternativ som PTS nu har utvärderat är att låta dessa allmänna råd kvarstå i väsentligen befintligt skick, med endast mindre redaktionella förändringar föranledda av att ordalydelsen i den aktuella bestämmelsen i lagen har ändrats från ”god funktion och teknisk säkerhet” till ”driftsäkerhet”. De allmänna råden innebär att det för närvarande redan finns ett visst förtydligande av vad lagen innebär och vilka åtgärder som tillhandahållare bör vidta. PTS har även genom tillsyn ytterligare kunnat förtydliga hur myndigheten anser att driftsäkerhetskravet i lagen ska tolkas och efterlevas.
De allmänna råden har således tillämpats sedan 2007 och tillhandahållare har haft tid på sig att anpassa sig till dessa. Sedan de allmänna råden tillkom har dock användarna och samhället kommit att ställa allt högre krav på fungerande elektroniska kommunikationsnät och -tjänster. Såväl genomförd planlagd tillsyn som tillsyn med anledning av inträffade incidenter har visat att det finns ett behov av tydligare krav på åtgärder för att åstadkomma en minskning av de vanligast förekommande orsakerna till störningar och avbrott. De allmänna råden som gäller idag är därför inte längre en tillräckligt långtgående reglering för att uppnå en god driftsäkerhet.
När det gäller frågan om det kan anses tillräckligt med nya allmänna råd istället för föreskrifter så gör PTS följande bedömning. Kännetecknande för en föreskrift är att den är bindande och generellt gällande. Allmänna råd är också generellt gällande men skiljer sig från föreskrifter genom att de inte är bindande vare sig för myndigheter eller enskilda. Allmänna råd kan t.ex. rekommendera vilka skyddsåtgärder som bör vidtas i vissa situationer men det står ändå den enskilde tillhandahållaren fritt att välja en annan väg för att nå det önskade resultatet. Mot bakgrund av det ökande användandet och beroendet av elektronisk kommunikation bedömer PTS att föreskriftsformen är nödvändig
då det inte är ändamålsenligt att ge utrymme för tillhandahållare att själva avgöra om en åtgärd ska vidtas eller inte eftersom:
1. PTS bedömer att det inte finns många alternativa sätt att uppnå samma resultat,
2. PTS bedömer att det är viktigt med tydligare krav för att åstadkomma en enhetlig tillämpning hos tillhandahållarna, samt att
3. allmänna råd riskerar att skapa lösningar hos tillhandahållarna vars lämplighet i större utsträckning än vad som är fallet med föreskriftskrav behöver bedömas i tillsyn, vilket tenderar att skjuta på vidtagandet av åtgärder och bedömningar om dessa längre fram i tiden.
PTS har dock utformat kraven på ett sådant sätt att de ger utrymme för
tillhandahållarna att göra egna bedömningar av vilka konkreta åtgärder som ska vidtas, inom ramen för ett föreskrivet krav.
4.2 Detaljerade krav på ”hur” i stället för teknikneutrala krav på ”vad”
PTS har således valt att utfärda föreskrifter. När det gäller utformningen av föreskrifterna finns olika sätt att gå till väga. Myndigheten har bl.a. övervägt att ställa tekniskt detaljerade krav på hur en viss skyddsnivå ska uppnås i nät och tjänster, sett utifrån funktioner, system och nätarkitektur. Exempel på sådana krav skulle kunna vara att föreskriva vilken typ av reservkraft som ska användas eller vilken typ av intrångsskydd som utrymmen ska förses med. Fördelen med denna typ av mer detaljerade krav är att det är relativt lätt att kontrollera huruvida kraven efterlevs. Det skapar också god förutsebarhet och minimerar risken för att berörda aktörer gör felaktiga investeringar till följd av felaktiga tolkningar av kraven.
Samtidigt innebär mer detaljerade krav att föreskrifterna kan behöva ändras oftare i takt med den tekniska utvecklingen. Ytterligare en svårighet med mer detaljerade krav är att föreskrifterna blir svårare att tillämpa på verksamheter av vitt skilda typer, både vad gäller verksamheternas inriktning men också
verksamhetsutövarnas storlek. Det är t.ex. inte säkert att samma tekniska lösning är lämplig såväl i en verksamhet med ett fåtal anställda där alla finns på ett driftställe, som i en verksamhet med tusentals anställda spridda över flera länder. Ytterligare ett skäl att inte ha alltför detaljerade föreskrifter är att den som bedriver verksamheten normalt sett har de bästa förutsättningarna för att hitta de lämpligaste och mest kostnadseffektiva lösningarna, inom de ramar som fastställts i föreskrifterna. Det skulle således bli betydligt dyrare för tillhandahållarna med detaljerade krav på ”hur” i stället för ”vad”.
Mot bakgrund av ovanstående gör PTS bedömningen att det inte är lämpligt att ställa detaljerade krav på hur en viss skyddsnivå ska uppnås och har därför så långt det är möjligt utformat kraven efter vad som ska uppnås.
4.3 Att fastställa krav på en högre abstraktionsnivå Ett annat alternativ är att formulera föreskriftskrav på en högre
abstraktionsnivå, exempelvis genom att ställa krav på en viss godtagbar minsta tillgänglighetstid av en tjänst, t.ex. att tjänsten ska vara tillgänglig minst 99,9
procent av tiden, snarare än att ange krav som mer direkt styr eller påverkar tillhandahållarnas realisering av de tekniska system som bygger upp nät och tjänster.
Det finns svårigheter med denna typ av krav. PTS ambition är att de krav som riktas mot tillhandahållarna ska vara så tjänsteneutrala som möjligt, i syfte att undvika att bli obsoleta då utvecklingen går framåt. Att ställa krav kopplade till en viss tjänst är därför, enligt PTS bedömning, olämpligt.
Vidare torde den lämpliga tillgänglighetstiden vara mycket svår att definiera.
För tjänster som förmedlas via en fast nätanslutningspunkt är det troligen möjligt att definiera tillgänglighetsmått. För en fast bredbandstjänst skulle en sådan tillgänglighet kunna kopplas till den andel tid som en användare kan nyttja tjänsten enligt sina förväntningar, undantaget sådana förhållanden som påverkas av kundägd utrustning. I mobila kommunikationsnät är det dock svårare att definiera ett entydigt, övergripande tillgänglighetsmått. För en mobil bredbandstjänst uppstår exempelvis en diskussion om hur tillgängligheten entydigt ska kunna definieras. Är det så att tjänsten inte är tillgänglig om bandbredden understiger en viss given undre gräns? För talkommunikation skulle det också behöva utformas ett lämpligt mått. PTS gör här bedömningen att det inte är självklart hur lämpliga, mätbara kvalitetsmått ska definieras. Utan ett relativt omfattande statistiskt underlag bedömer PTS att det finns en risk att tillgänglighetskraven inte sätts på en lämplig nivå sett ur ett tillhandahållar- och ett samhällsperspektiv. Även om tillhandahållarna har system för kontinuerliga prestandamätningar, är det inte självklart hur PTS ska samla in information som visar på hur fastställda krav har uppfyllts utan att myndigheten tillåts detaljstyra vilka system som används för prestandamätningar, och hur de ska konfigureras.
Allt eftersom nya tjänster utvecklas och kravsätts, kan det också behövas omfattande anpassningar, vilket är både kostsamt och ineffektivt.
Mot bakgrund av ovanstående har PTS bedömt att det inte är lämpligt att ställa denna typ av krav i föreskrifterna.
4.4 PTS bedömning av det mest lämpliga regleringsalternativet
Sammanfattningsvis anser PTS att det är angeläget att utfärda nya regler om driftsäkerhet. Det är fråga om krav för att upprätthålla en grundläggande nivå av driftsäkerhet och dessa bör, mot bakgrund av ovanstående, regleras i föreskriftsform. För att säkerställa teknikneutralitet och skalbarhet är det lämpligast att utforma regler som beskriver ”vad” som ska uppnås, snarare än tekniskt detaljerade regler som beskriver ”hur” detta ska uppnås, eller regler med krav på en högre abstraktionsnivå, som t.ex. krav på en godtagbar tillgänglighetstid.
5 Uppgifter om vilka som berörs av regleringen
Den svenska marknaden för elektronisk kommunikation är avreglerad sedan drygt 20 år. Avregleringen har skapat en mångfacetterad marknad som
karaktäriseras av en ökad konkurrens och snabb teknikutveckling, vilket i sin tur inneburit att Sverige idag har ett brett och diversifierat utbud av nät och
tjänster. Sektorn består idag av cirka 500 tillhandahållare, alltifrån stora multinationella företag med utbredda nät och stort tjänsteutbud, till mindre aktörer som erbjuder mindre nät eller en begränsad mängd tjänster inom ett begränsat geografiskt område.
Tillhandahållare erbjuder sina nät och tjänster på en rad olika nivåer. Det finns tillhandahållare som endast erbjuder nät och tjänster till andra tillhandahållare och det finns tillhandahållare som erbjuder nät och tjänster till slutkunder. Det finns också tillhandahållare som erbjuder nät och tjänster till såväl slutkunder som andra tillhandahållare. På grund av de höga investeringskostnader som kopplas till ny kommunikationsinfrastruktur är det idag också vanligt med samäganden där flera tillhandahållare erbjuder nät och tjänster till slutkunder via samma infrastruktur.
Av 5 kap. 6 b § LEK framgår att den som tillhandahåller allmänna
kommunikationsnät eller allmänt tillgängliga elektroniska kommunikationstjänster ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa att verksamheten uppfyller rimliga krav på driftsäkerhet. De som omfattas av skyldigheterna i de föreslagna föreskrifterna utgörs således av samtliga tillhandahållare. En mer detaljerad beskrivning av företagen som utgör dessa tillhandahållare och som direkt berörs av den föreslagna regleringen återfinns nedan under avsnitt 10.
Det finns även ett antal aktörer som berörs indirekt av regleringen, t.ex.
slutanvändare, samhällsviktiga aktörer, leverantörer och myndigheter. Ett av syftena med den föreslagna regleringen är att dessa ska få en högre nivå av driftsäkerhet i nät och tjänster. Kraven syftar även till att tydliggöra den nivå av driftsäkerhet i nät och tjänster som man kan förvänta sig.
Kraven kommer i vissa fall att leda till ökade investeringar inom exempelvis redundans, reservkraft och skalskydd, beroende på vilken skyddsnivå som tillhandahållare har inom dessa områden idag. Detta kan innebära att vissa företag som tillhandahåller sådan utrustning kan få en ökad efterfrågan på vissa produkter eller tjänster. Eftersom de föreslagna föreskrifterna och allmänna råden främst ställer krav på vad som ska uppnås, och inte hur, är det inte möjligt att göra en korrekt eller uttömmande uppräkning av samtliga företag vars produkter eller tjänster kan komma att påverkas av kraven, men det kan t.ex.
röra sig om företag som levererar batterier, nätutrustning, skalskydd, inbrottslarm, utbildningar inom riskanalysområdet, tester av exempelvis mjukvara, eller system för behörighetskontroll.
6 Uppgifter om vilka kostnadsmässiga och andra konsekvenser
föreskrifterna medför
De föreslagna föreskrifterna medför konsekvenser av både social, ekonomisk och miljömässig karaktär. Eftersom regleringen i de flesta fall endast uppställer krav på vad som ska uppnås, inte hur, är det som utgångspunkt svårt att exakt beräkna eller bedöma konsekvenserna för samhället i stort, men uppskattningar kan göras.
Detaljerade kostnadsberäkningar och redogörelse för andra konsekvenser för respektive krav återfinns under beskrivningen av kraven nedan under avsnitt 11, samt i bilaga 1.
6.1 Sociala konsekvenser
Ett av huvudsyftena med den föreslagna regleringen är att driftsäkerheten i nät och tjänster ska öka, vilket ur ett socialt perspektiv bl.a. bedöms kunna
medföra:
- högre tillgänglighet till elektroniska kommunikationer, innefattandes bl.a. grundläggande samhällstjänster, såsom larmnumret 112,
trygghetslarm och samhällsinformation på internet, - högre tillit till elektroniska kommunikationstjänster, och
- flexiblare arbetsmarknad och utbildningssektor. Tack vare fungerande tjänster möjliggörs såväl distansarbete som distansutbildning.
När det gäller de potentiella negativa konsekvenserna bedömer PTS att det finns en risk att tillhandahållare som står inför betydande investeringskostnader med anledning av regleringen höjer sina slutkundspriser för tjänsterna.
Vidare bedöms en möjlig negativ social konsekvens av ökade krav vara att tillhandahållarens investeringar för att leva upp till kraven, speciellt kraven avseende redundans och kraven på reservkraft, istället hade kunnat användas för att bekosta utbyggnad av nät och tjänster. Utbyggnad av t.ex. täckning på landsbygden genom investeringar i flera basstationer är något som PTS också arbetar för, dvs. här är det möjligt att flera av myndighetens intressen står emot varandra. Å ena sidan finns krav att de nät och tjänster som faktiskt
tillhandahålls ska upprätthålla en grundläggande driftsäkerhet, å andra sidan finns behov av investeringar i utbyggnad av nya nät och tjänster. Det finns en risk att investeringsviljan och -förmågan minskar i takt med ökade kostnader för driftsäkerhet, vilket t.ex. skulle kunna leda till att personer i glesbyggd får sämre, eller åtminstone inte bättre, täckning eller utbud. För att minimera denna effekt har kraven för bl.a. mobilnäten anpassats så att föreskrifterna inte kräver att tillhandahållarna ska upprätthålla alla frekvensband under den tid som strömavbrottet pågår, så länge denna åtgärd minskar tillgångarnas
elförbrukning, eftersom ett sådant krav skulle bli mycket betungande kostnadsmässigt. Även ikraftträdanderegler och möjligheter till undantag är anpassade för att motverka denna effekt.
Detta är således en mycket viktig parameter att beakta vid framtagandet av kraven, samtidigt som PTS kan konstatera att sambandet mellan ökade kostnader och minskad investeringsvilja inte fullt behöver motsvara varandra, dvs. bara för att ett visst krav inte skulle ställas så innebär inte det per automatik att den uteblivna kostnaden oavkortat skulle gå till utbyggnad av nät och
tjänster. Den lönsamhet som marknadens aktörer generellt har uppvisat under senare år talar också emot att sambandet skulle vara så definitivt. Enligt PTS bedömning finns det ändå en risk att kraven i den föreslagna regleringen mer eller mindre skulle påverka investeringarna i nya nät och tjänster, varför myndigheten har att beakta detta vid framtagandet av respektive krav. PTS bedömer att denna risk föreligger främst på kortare sikt, genom att kraven på längre sikt också syftar till att medföra minskade kostnader för tillhandahållare, t.ex. bedöms kostnader för felavhjälpning kunna minskas när driftsäkerheten ökar.
6.2 Ekonomiska konsekvenser
Elektroniska kommunikationer har ett mycket stort ekonomiskt värde i samhället vilket innebär att betydande störningar och avbrott i nät och tjänster får stora samhällsekonomiska konsekvenser. Vid störningar och avbrott kan exempelvis transaktioner försenas, kritiska affärssystem sluta fungera, eller människors möjligheter att kommunicera vid nödsituationer försvåras. Det är exempel som inte bara kan påverka enskilda företag eller personer, utan samhället i stort. Genom att öka kraven på driftsäkerhet bedöms dessa samhällskostnader minska.
PTS har genomfört en samhällsekonomisk analys för att kunna göra en
bedömning av vilka samhällsekonomiska konsekvenser ett omfattande avbrott i elektroniska kommunikationstjänster får.
När elektroniska kommunikationstjänster drabbas av avbrott innebär det att kostnader för både konsumenter och producenter, t.ex. företag som är beroende av elektronisk kommunikation för att producera sina varor och tjänster, ökar.
I konsumentledet handlar det om privatekonomiska kostnader, som t.ex.
kostnader som uppstår i och med att man inte kan läsa epost, att man inte kan komma åt sina molntjänster eller att man inte kan söka information. Avbrott i elektroniska kommunikationstjänster gör det svårt att kommunicera och informera t.ex. anhöriga vid olyckor, vilket också kan leda till oro och
osäkerhet. Om avbrotten drabbar larmtjänster, som 112, finns även risk för liv och hälsa.
På producentsidan fokuserar man i regel på kostnader för utebliven produktion.
I vissa fall kan ett produktionsbortfall kompenseras genom att de arbets- moment som är beroende av fungerande elektroniska kommunikationstjänster utförs i efterhand. Naturligtvis är olika delar av näringslivet olika känsliga för avbrott i elektroniska kommunikationstjänster. Svårigheten att beräkna
indirekta effekter gör det nödvändigt att göra vissa förenklade antaganden eller att försöka skatta hur olika näringssektorer påverkar andra varför beräkningen av produktionsbortfallet ska ses som en indikation på hur stort värde som förloras.
I den samhällsekonomiska beräkning som genomförts beräknas det totala produktionsbortfallet (indirekta effekter) och det direkta bortfallet uppgår till ungefär 800 miljarder kr på årsbasis7. Avbrott i elektroniska kommunikations- tjänster är dock inte årslånga varför dessa beräkningar ska sättas i relation till de avbrott och störningar som har rapporterats till PTS.
Om produktionsbortfallet räknas om till ett snitt per svenskt hushåll och sätts i relation till ett avbrott som drabbar 200 000 abonnenter i ett mobilt
kommunikationsnät under 3 till 6 timmar leder detta till ett produktionsbortfall på mellan 11 och 22 miljoner kr. Om motsvarande beräkning görs för ett heldagsavbrott i en bredbandstjänst för 200 000 till 400 000 abonnenter blir produktionsbortfallet cirka 88 till 175 miljoner kr. Dessa belopp bör naturligtvis inte betraktas som någon absolut sanning, utan mer som en indikativ
uppskattning av kostnaden för avbrott i elektroniska kommunikationstjänster.
Mycket talar således för att avbrott kostar samhället betydligt mer än marknadspriset för de uteblivna tjänsterna.
PTS gör nedan vid respektive krav en rimlighetsbedömning för kraven sett till vilka kostnader som kravet genererar och den nytta som kravet ger för de enskilda tillhandahållarna i form av t.ex. minskade kostnader för felavhjälpning.
De totala personella kostnaderna för regleringen, administrativa och övriga kostnader framgår av bilaga 1. Merparten av kostnaderna som de nya kraven genererar är förknippade med de investeringar som kommer att behöva göras för att kunna uppfylla kraven på redundans och reservkraft och dessa redovisas under respektive krav. För att mildra effekten av dessa krav har PTS valt att skapa övergångsregler på fem år och även föreskrivit en rätt för tillhandahållare att ansöka om undantag i enstaka fall. Övergångsreglerna gäller dock ej vid nyinvesteringar eller anpassningar av befintliga tillgångar.
6.3 Miljömässiga konsekvenser
Föreskrifterna bedöms även medföra effekter på miljön, t.ex. genom att driftsäkra elektroniska kommunikationstjänster möjliggör för arbetstagare att arbeta mer på distans, vilket i sin tur kan minska miljöpåverkan då färre personer behöver transporteras mellan hemmet och arbetsplatsen.
Kraven i den föreslagna regleringen är utformade så att de talar om vad som ska uppnås, inte hur. En av anledningarna till detta är att skapa frihetsgrader och på så sätt minska risken för att redan gjorda investeringar i system, processer eller hårdvara ska vara bortkastade.
I föreskrifterna finns vidare krav som innebär investeringar i bl.a. utökad batterikapacitet och redundanta tillgångar och förbindelser, vilket skulle kunna innebära en negativ miljöpåverkan. För att minska de miljömässiga
konsekvenserna av dessa krav har PTS valt att göra övergångsregler på fem år för vissa regler, t.ex. för reservkraftskrav. Genom att möjliggöra
7 Beräkningen följer i allt väsentligt metodologin som använts vid beräkningen av den samhällsekonomiska kostnaden för ett större avbrott i elektroniska kommunikationstjänster på Irland (Lyons et al., 2013).
Beräkningarna utgår dock från svenska data om förädlingsvärden och svenska priser. Vi använder genomgående försiktiga antaganden i studien, det vill säga hög efterfrågeelasticitet på slutkundsmarknaden och begränsade följdeffekter. Lyons, S., Morgenroth, E., & Tol, R. S. J. (2013). Estimating the value of lost telecoms connectivity. Electronic Commerce Research and Applications, 12(1), 40–51.
doi:http://dx.doi.org/10.1016/j.elerap.2012.06.002
övergångsregler kan tillhandahållarna t.ex. anpassa bytet av batterier till ordinarie batteribytesprogram så att batterier inte behöver bytas i förtid.
7 Rimlighet och driftsäkerhet
Det är tillhandahållarna som har ansvar för sina näts och tjänsters driftsäkerhet.
Konkurrensen på marknaden är en drivkraft för att tillhandahållare ska
upprätthålla en god beredskap för att kunna åtgärda störningar och avbrott som uppstår i drift under normala förhållanden. Det är därmed den enskilda
tillhandahållaren som tar ansvar, i avtalet gentemot slutanvändaren, för driftsäkerhet, uthållighet och tillgänglighet i sina nät.
Samhällets ökade användning och beroende av elektroniska kommunikationer minskar dock toleransen för störningar och avbrott. I de fall där marknaden inte av sig själv kan uppnå de önskade målen bör staten ingripa med regler och styrning. Den föreslagna regleringen anger en grundläggande nivå av
driftsäkerhet, ett visst minimum av garanterad säkerhet. Detta för att
användarna på en grundläggande nivå ska kunna lita på att kommunikationerna fungerar.
I enlighet med 1 kap. 2 § LEK får myndigheten endast föreskriva om åtgärder som är rimliga och proportionerliga sett till lagens syfte. Kraven i föreskrifterna måste således vara rimliga i förhållande till vad lagen vill uppnå vilket, enligt 1 kap. 1 § LEK, bl.a. är att enskilda och myndigheter ska få tillgång till säkra och effektiva elektroniska kommunikationer och största möjliga utbyte vad gäller urvalet av elektroniska kommunikationstjänster samt deras pris och kvalitet.
Dessutom måste kraven, enligt 5 kap. 6 b § LEK, utformas så att åtgärderna som tillhandahållare ska vidta är rimliga sett till kostnaderna för åtgärderna och tillgänglig teknik.
Vad som är rimliga krav och en rimlig nivå av driftsäkerhet varierar över tid.
Det som utgjorde rimliga skyddsåtgärder vid tidpunkten för de befintliga allmänna rådens ikraftträdande är inte nödvändigtvis tillräckligt idag. Det är PTS bedömning att den ökade användningen och det växande beroendet av tillförlitlig elektronisk kommunikation, sett i relation till att antalet inträffade incidenter inte minskar, innebär att kraven på driftsäkerhet behöver skärpas för att tillhandahållarnas verksamheter ska anses uppfylla vad som nu utgör en rimlig nivå av driftsäkerhet. Vid beräkning av kostnaderna har hänsyn tagits till att det finns allmänna råd om driftsäkerhet sedan 2007.
För varje krav har en bedömning av kostnaderna genomförts för en
genomsnittlig tillhandahållare inom grupperingarna små, medelstora och stora tillhandahållare. De kostnader som redovisas är de totala kostnaderna som varje grupp sammanlagt bedöms få för respektive krav. Efter respektive krav nedan återfinns PTS bedömning av kravets rimlighet i relation till bl.a. nyttan för samhället och kostnaderna för kravet.
8 Bedömning av om regleringen
överensstämmer med skyldigheter som följer av Sveriges anslutning till EU
Föreskrifterna syftar till att förtydliga vilka lämpliga åtgärder som
tillhandahållare har att vidta enligt 5 kap. 6 b § LEK. Denna bestämmelse genomför i sin tur artikel 13a i Europaparlamentets och rådets direktiv
2002/21/EG av den 7 mars 2002 om ett gemensamt regelverk för elektroniska kommunikationsnät och kommunikationstjänster, senast ändrat genom direktiv 2009/140/EG av den 25 november 2009.
Även tillämpningen av de nationella regler som genomför artikel 13a är harmoniserad, främst genom medlemsländernas samarbete i en arbetsgrupp som drivs av ENISA, den europeiska nät- och informationssäkerhetsbyrån.
PTS medverkar aktivt i denna arbetsgrupp. Med stöd av arbetsgruppen har ENISA utfärdat rekommendationer som berör tillämpningen av artikel 13a. I rekommendationen ”Technical Guideline on Security Measures” anges ett antal övergripande sakområden vilka medlemsstaterna rekommenderas att ställa krav inom, för att uppnå en rimlig driftsäkerhetsnivå. Dessa sakområden omfattas i stort av föreskrifterna.
Rekommendationen ”Guideline on Threats & Assets” anger bl.a. en modell för klassificering av tillgångar och av vanliga hot mot näts och tjänsters
driftsäkerhet. Därtill beskriver rekommendationen översiktligt hur
tillhandahållare bör arbeta med riskanalyser. Föreskrifterna följer i stort även denna rekommendation.
Mot bakgrund av ovanstående gör PTS bedömningen att förslaget till nya föreskrifter överensstämmer med de skyldigheter som följer av Sveriges anslutning till EU.
9 Bedömning om förändringar för kommuner etc.
Om den föreslagna regleringen bedöms innebära förändringar av kommunala befogenheter eller skyldigheter, respektive grunderna för kommunernas eller landstingens organisation eller verksamhetsformer, ska - enligt 8 § förordningen (2007:1244) om konsekvensutredning vid regelgivning - en beräkning göras av de kostnader och intäkter som följer av förändringarna. Den nu föreslagna regleringen bedöms inte få sådana konsekvenser, varför myndigheten inte har några kostnader eller intäkter att redogöra för i detta hänseende.
10 Företag
Enligt 7 § i förordning (2007:1244) om konsekvensutredning vid regelgivning ska i utredningen särskilt redogöras för konsekvenser för företag, förutsatt att regleringen bedöms få effekter av betydelse för företags arbetsförutsättningar, konkurrensförmåga eller villkor i övrigt. De av PTS nu föreslagna föreskrifterna bedöms få effekter av sådant slag, varför myndigheten nedan redogör för dessa konsekvenser. I den fortsatta framställningen, liksom ovan, benämns företagen
”tillhandahållare”.
10.1 Beskrivning av antalet tillhandahållare som berörs, vilka branscher de är verksamma i samt storleken på dessa
Innan PTS redogör närmare för de respektive kraven, beskrivs här aktörerna som direkt berörs av de föreslagna föreskrifterna närmare. Som framgår av 1 § gäller föreskrifterna för samtliga tillhandahållare av allmänna kommunikations- nät eller allmänt tillgängliga elektroniska kommunikationstjänster. Tillhanda- hållarna är anmälda till PTS och utgörs idag av cirka 500 olika företag.
Samtliga tillhandahållare har att beakta och hantera driftsäkerhetsaspekter i sina verksamheter, även om de uppvisar stora skillnader sinsemellan. Det finns en stor variation när det gäller utbudet av olika typer av nät och tjänster. En del aktörer tillhandahåller telefoni i form av traditionell fast telefoni, ip-baserad telefoni eller mobiltelefoni. Andra tillhandahåller internetåtkomst via fiber eller via radiobaserade accessnät eller infrastruktur i form av svartfiber. De
sistnämnda tillhandahållarna hanterar överhuvudtaget inte överföring av signaler. Ytterligare andra har som affärsidé att tillhandahålla drift och överföring av signaler, men äger inte infrastrukturen och tillhandahåller inte heller kommunikationstjänster till slutkunderna. Detta innebär att
förutsättningarna och kraven för att uppnå driftsäkerhet varierar stort beroende på vilken typ av verksamhet den berörda tillhandahållaren bedriver.
Tillhandahållarna som omfattas av regleringen är även av varierande storlek.
Det finns aktörer som har miljontals kunder och tusentals anställda med en verksamhet i flera länder. Samtidigt finns det tillhandahållare med endast ett fåtal anställda som har något hundratal abonnenter och som endast verkar på en lokal, avgränsad marknad.
När det gäller marknadsandelar kan man konstatera att de fyra största
tjänstetillhandahållarna har ungefär 84 procent av det totala antalet abonnenter på fasta samtalstjänster, respektive 96,5 procent av det totala antalet abonnenter på mobiltelefoni. När det gäller internetanslutningar har de fem största
1 § Dessa föreskrifter innehåller bestämmelser om de tekniska och organisatoriska åtgärder som den som tillhandahåller allmänna kommunikationsnät eller allmänt tillgängliga elektroniska
kommunikationstjänster ska vidta enligt 5 kap. 6 b § lagen (2003:389) om elektronisk kommunikation.
tjänstetillhandahållarna sammantaget omkring 92,5 procent av abonnenterna.
Huvuddelen av abonnenterna av telefoni- och internettjänster återfinns således hos ett mycket litet antal tjänstetillhandahållare. Det innebär samtidigt att en stor andel av de tillhandahållare som berörs av den föreslagna regleringen är små och medelstora.
Om man ser till nätägare kan konstateras att antalet tillhandahållare som har eget nät i någon utsträckning är cirka 200. Många av dessa tillhandahåller också tjänster och ingår även i statistiken för tjänstetillhandahållare ovan.
Av de 200 nätägarna tillhandahåller ungefär 160 svartfiber, dvs. passiv nätinfrastruktur. Av svartfiberleverantörerna finns det både sådana som tillhandahåller internetaccess och sådana som helt saknar egna tillgångar i klasserna A-D, se avsnitt 11.2.9.
Med utgångspunkt i totala slutkundsintäkter, för såväl tjänstetillhandahållare som nättillhandahållare, för alla elektroniska kommunikationstjänster8 kan konstateras att 5 aktörer innehar över 3 procent vardera vilket kan uppfattas som lågt men detta motsvarar sammanlagt drygt 86 procent av marknaden, 23 aktörer innehar mer än 0,1 procent men mindre än 3 procent vardera och resterande aktörer, 436 stycken, innehar mindre än 0,1 procent vardera av den totala marknaden.
Som utgångspunkt för bedömningen av de kostnader som uppstår som en följd av dessa föreskrifter görs följande uppdelning baserat på procent av totala slutkundsintäkter:
Små tillhandahållare: mindre än 0,1 procent, 436 tillhandahållare
Medelstora tillhandahållare: mindre än 3 procent men större än 0,1 procent, 23 tillhandahållare
Stora tillhandahållare: större än 3 procent, 5 tillhandahållare
8 Enligt PTS rapport Svensk Telemarknad 2012, PTS-ER-2013:15.
11 Föreskrifternas innehåll och konsekvenser
11.1 Definitioner 2 § I dessa föreskrifter avses med
Aktiv anslutning: anslutning till ett kommunikationsnät eller kommunikationstjänst som möjliggör omedelbar användning av kommunikationstjänster.
Förbindelse: del av kommunikationsnät mellan två tillgångar eller mellan en tillgång och en anslutning till ett kommunikationsnät.
Incident: händelse som orsakar eller inom kort kan orsaka störning eller avbrott i kommunikationstjänst eller kommunikationsnät.
Kommunikationsnät: allmänt kommunikationsnät i enlighet med 1 kap. 7 § lagen (2003:389) om elektronisk kommunikation.
Kommunikationstjänst: elektronisk kommunikationstjänst, i enlighet med 1 kap. 7 § lagen (2003:389) om elektronisk kommunikation, som är allmänt tillgänglig.
Kritisk komponent: del av en tillgång som är nödvändig för att sända, motta, bearbeta eller lagra information.
Kritisk verksamhetsdel: del av verksamheten som är nödvändig för att kunna begränsa omfattande störningar eller avbrott i kommunikationsnät och kommunikationstjänster.
Redundanta förbindelser: två eller flera, identiska eller olika, förbindelser som oberoende av varandra fyller samma funktion.
Redundant kritisk komponent: två eller flera, identiska eller olika, kritiska komponenter som oberoende av varandra fyller samma funktion.
Redundanta tillgångar: två eller flera, identiska eller olika, tillgångar som oberoende av varandra fyller samma funktion.
Reservkraftssystem: system som oberoende av extern elförsörjning genererar elektricitet vid strömavbrott.
Strömavbrott: störning eller avbrott i extern elförsörjning.
Tillgång: funktion som utgörs av en avgränsad del av ett kommunikationsnät eller
kommunikationstjänst och som är nödvändig för att tillhandahålla ett sådant nät eller en sådan tjänst, samt som används för att sända, motta, bearbeta eller lagra information.
Tillhandahållare: aktör som tillhandahåller kommunikationsnät eller kommunikationstjänster.
För att tydliggöra innehållet i den föreslagna regleringen återfinns i 2 § en lista med definitioner av begrepp som används i föreskrifterna. Av särskild vikt är begreppet ”tillgång”, vilket i föreskrifterna används för att beteckna en funktion som är nödvändig för tillhandahållande av kommunikationsnät eller
kommunikationstjänster och som utgörs av en avgränsad del av ett
kommunikationsnät eller kommunikationstjänst. Tillgången ska vara avsedd att användas för att sända, motta, bearbeta eller lagra information.
En tillgång utgör således en aktiv del av nätet eller tjänsten. De tekniska system som används för elektronisk kommunikation använder hård- och mjukvara för att fungera, och består normalt av ett antal olika tillgångar. Det förhållandet att en tillgång ska vara nödvändig för tillhandahållandet av nätet eller tjänsten innebär att det inte är fråga om hur små funktioner i nätet eller tjänsterna som helst. Det faktum att en tillgång utgörs av en avgränsad del med ett visst avgränsat syfte innebär å andra sidan att en tillgång inte heller kan vara hur stor som helst, t.ex. kan inte en tillhandahållares hela kärnnät anses utgöra en tillgång.
Exempel på tillgångar i kommunikationsnät och kommunikationstjänster är routrar, switchar, basstationer, home location registrer (HLR) och gateways.
Det är upp till tillhandahållaren att göra bedömningen av vilka tillgångar som denne innehar. Samtliga tillgångar och förbindelser ska dokumenteras av tillhandahållarna i en aktuell förteckning, vilket utgör en grundförutsättning för att tillhandahållarna ska kunna ha kontroll över sina nät och tjänster och på bästa sätt ska kunna vidta de åtgärder som krävs för att kunna säkerställa att verksamheten uppnår en rimlig driftsäkerhetsnivå.
Enligt definitionen ”aktiv anslutning” utgörs en aktiv anslutning av en
anslutning till ett kommunikationsnät som möjliggör omedelbar användning av kommunikationstjänster. Av definitionen av kommunikationsnät och
kommunikationstjänst följer att de ska vara allmänt tillgängliga och därmed omfattas inte de anslutningar som sker i en organisations privata nät, t.ex.
antalet fasta telefoner kopplade till en växel eller terminaler kopplade till en organisations internetanslutning. Motsatsen till en aktiv anslutning skulle vara en passiv anslutning, t.ex. en svartfiberanslutning. Det faktum att en aktiv anslutning möjliggör omedelbar användning innebär inte att anslutningen, t.ex.
mobiltelefonen, måste vara påslagen och i bruk just i detta nu, men för att räknas in under begreppet ska mobilanvändaren kunna använda sin anslutning, dvs. den ska vara aktiverad av tillhandahållaren.
Att kraven som följer av klassificering omfattar de tillhandahållare som har aktiva anslutningar innebär att t.ex. kommunikationsoperatörer, som inte har egna abonnenter men som har kontroll över antalet anslutningar, och känner till vilka av dessa som är aktiverade, omfattas av kraven som följer av
klassificeringen.
11.2 Föreskrifternas krav
I redogörelsen nedan presenteras de krav som föreskrifterna innefattar. För varje krav, eller grupp av krav, redogörs för följande:
1. beskrivning av kravet, problemet och vad PTS vill uppnå med kravet, 2. administrativa merkostnader förknippade med kravet,
3. övriga merkostnader eller förändringar för tillhandahållarna förknippade med kravet, samt PTS rimlighetsbedömning.
När det gäller kravens påverkan på konkurrensförhållandena på marknaden och bedömning av om särskild hänsyn behöver tas till små tillhandahållare så
återfinns detta i egna avsnitt samlat för alla krav, nedan under avsnitt 13 och 14.
När det gäller kostnader så är bedömningarna och beräkningarna avseende dessa, både avseende administrativa kostnader och övriga, omfattande. Mot bakgrund av detta återfinns en sammanställning av dessa i bilaga 1.
Beräkningarna görs för små, medelstora och stora tillhandahållare. Kostnaderna redovisas som de totala kostnaderna för respektive grupp. Uppskattningar av kostnaderna baserar sig på en bedömning av de merkostnader som kraven innebär utöver den nivå som tillhandahållarna har idag, dvs. utifrån de krav som följer av lagen, de befintliga allmänna råden, erfarenheter från PTS tillsyn och de kontakter som PTS har haft med tillhandahållarna när föreskrifterna har arbetats fram.
11.2.1 Övergripande driftsäkerhetsarbete
Krav på övergripande driftsäkerhetsarbete, som utgör en portalparagraf, innebär att tillhandahållaren ska bedriva ett organiserat och strukturerat driftsäkerhetsarbete i flera steg. I de föreslagna föreskrifternas efterföljande krav, t.ex. avseende riskanalyser och incidenthantering, finns regler som även de utgör viktiga delar av ett fullgott driftsäkerhetsarbete. Detta inledande krav utgör en generell, övergripande bestämmelse vars innebörd ska beaktas vid tillämpningen av samtliga efterföljande krav och tillhandahållarens
driftsäkerhetsarbete i övrigt.
3 § Tillhandahållarens driftsäkerhetsarbete ska bedrivas långsiktigt, kontinuerligt och systematiskt. Arbetet ska omfatta såväl normala driftsförhållanden som extraordinära händelser.
Tillhandahållaren ska i driftsäkerhetsarbetet ha en tydlig rollfördelning med särskilt utpekade ansvariga för arbetet.
Tillhandahållaren ska ta fram och dokumentera de processer, planer och tester som föreskrivs i 5, 7, 8, 12, 13, 21 och 23 §§ samt säkerställa att anställda och uppdragstagare har kunskap om de processer och planer som de är berörda av.
Tillhandahållaren ska dokumentera de åtgärder som vidtas enligt 10-12 §§
och 16-22 §§ samt följa upp dessa åtgärder årligen och vid behov.
Driftsäkerhetsarbetet ska vara långsiktigt, dvs. planering av arbete och framtagande av processer för driftsäkra nät och tjänster ska göras utifrån utgångspunkten att de ska kunna tillämpas och vidareutvecklas under en längre tid i verksamheten. Kravet på långsiktighet innebär t.ex. att tillhandahållaren inte får bedriva en verksamhet som hanterar driftsäkerhetsfrågor ad hoc eller slentrianmässigt allteftersom situationer eller incidenter uppkommer, även om det även måste innehålla åtgärder som inriktas på att hantera inträffade
störningar och avbrott.
Driftsäkerhetsarbetet ska vidare vara kontinuerligt, dvs. det ska ha ett upprepande, återkommande angreppssätt, vilket bl.a. kan innebära att tillhandahållaren måste säkerställa att ny personal utbildas i de befintliga processerna så att driftsäkerhetsarbetet inte riskerar att bli godtyckligt och förändras vid personalomsättning.
Driftsäkerhetsarbetet ska även bedrivas systematiskt, dvs. tillhandahållaren behöver t.ex. i förväg upprätta processer och planer för hur
driftssäkerhetsarbetet ska bedrivas för att verksamheten ska uppnå en rimlig driftsäkerhetsnivå.
De åtgärder som krävs för ett långsiktigt, kontinuerligt och systematiskt driftsäkerhetsarbete är av såväl teknisk som organisatorisk karaktär.
Driftsäkerhetsarbetet ska beakta och omfatta såväl normala driftsförhållanden som extraordinära händelser, vilket innebär att arbetet ska omfatta såväl mindre störningar och avbrott som kan inträffa mer eller mindre dagligen, som
katastrofscenarier som kan omfatta stora eller hela delar av verksamheten. PTS bedömer att ett långsiktigt, kontinuerligt och systematiskt driftsäkerhetsarbete bidrar till, och rentav är en förutsättning för, att en rimlig, grundläggande nivå av driftsäkerhet kan uppnås och upprätthållas.
Tillhandahållare ska enligt kravet även ha en tydlig rollfördelning med särskilt utpekade ansvariga för arbetet med driftsäkerhet. Att det finns särskilt utpekade ansvariga och tydliga roller för driftsäkerhetsarbete är enligt PTS bedömning en förutsättning för att säkerhetsarbetet ska kunna bedrivas på ett strukturerat och personoberoende sätt.
Paragrafen innefattar även krav på att tillhandahållaren ska ta fram och dokumentera processer, planer och tester för sitt driftsäkerhetsarbete enligt senare paragrafer, och att anställda och uppdragstagare måste vara förtrogna med de processer och planer för driftsäkerhetsarbetet som de är berörda av, vilket är en förutsättning för att säkerställa att etablerade processer och planer efterlevs. PTS bedömer att kravet är nödvändigt för en fullgod driftsäkerhet i nät och tjänster, eftersom PTS erfarenhet är att en vanligt förekommande orsak till störningar och avbrott är att processer och planer visserligen finns
upprättade, men att det föreligger brister i tillämpningen av dessa. Slutligen innebär kravet att de åtgärder som tillhandahållaren har att vidta enligt ett antal efterföljande paragrafer ska dokumenteras och följas upp årligen och vid behov, vilket bl.a. utgör en förutsättning för att tillhandahållaren ska ha kontroll över vilka åtgärder som vidtagits och följa upp dessa över tid.
I PTS tillsyn av mindre och medelstora tillhandahållare, t.ex. PTS tillsyn av stadsnät, har myndigheten uppmärksammat att dessa aktörer ofta bedriver ett driftsäkerhetsarbete som är mer reaktivt och baserat på inträffade störningar och avbrott än framåtsyftande och förebyggande. Tillsynsinsatser har även visat att personberoendet i mindre och medelstora tillhandahållare ofta är stort.
Beroendet av enskilda individer innebär en sårbarhet som kan minimeras bl.a.
genom långsiktiga, kontinuerliga och systematiska arbetssätt, tydliga roller och dokumenterade processer och planer.
Krav på ett långsiktigt, kontinuerligt och systematiskt säkerhetsarbete har funnits i allmänna råd sedan 2007. De befintliga allmänna råden omfattar även krav på att rutiner, processer, handlingsplaner bör vara dokumenterade och hållas uppdaterade. Eftersom PTS nu går från allmänna råd till föreskrifter kan det innebära ökade kostnader för de som har valt att uppfylla kraven på annat sätt. PTS bedömer dock att majoriteten av tillhandahållarna, framför allt de större, arbetar aktivt med driftsäkerhetsfrågor. PTS utgår därför från att det redan finns ett grundläggande driftsäkerhetsarbete hos de flesta tillhandahållare, och att det i handlar om utveckling av detta arbete, snarare än en nystart med
driftssäkerhetsarbete.
Beroende på hur väl utvecklade enskilda tillhandahållares driftsäkerhetsarbete är i dagsläget föranleder kravet dock anpassningar, dvs. merkostnader, av olika omfattning.
Tidsåtgång och administrativa kostnader
De administrativa engångskostnaderna för detta krav kommer att bestå av upprättande av rollfördelningar för det fall att detta saknas samt av
dokumentation av vidtagna åtgärder för kraven i 10-12 §§, medan de årliga administrativa kostnaderna kommer att utgöras av arbetet med att hålla detta uppdaterat. Under detta krav redovisas inte de mer omfattande processerna och planerna som föreskrivs, eftersom dessa redovisas under ett annat krav i
föreskrifterna, dvs. kostnaderna relaterade till t.ex. framtagning och dokumentation av riskanalysprocessen eller incidenthanteringsprocessen redovisas under respektive krav nedan. Mindre omfattande processer, dvs.
upprättande av processen för att hantera reservkraftssystem och
behörighetsprocessen, redovisas under detta krav, mot bakgrund av att dessa kostnader bedöms vara mycket begränsade.
För små tillhandahållare bedöms de totala administrativa kostnaderna till 4 698 336 kr i engångskostnader och 1 566 112 kr i årliga kostnader.
För medelstora tillhandahållare bedöms de totala administrativa kostnaderna till 495 696 kr i engångskostnader och 165 232 kr i årliga kostnader.
För stora tillhandahållare bedöms de totala administrativa kostnaderna till 215 520 kr i engångskostnader och 71 840 kr i årliga kostnader.
Övriga kostnader och förändringar för tillhandahållaren, samt rimlighetsbedömning
PTS bedömer att de övriga kostnaderna som är förknippade med detta krav är hänförliga till personalkostnader, t.ex. kostnader för eventuell utbildning av personal, såsom utbildning för nya roller och behörigheter. Kommande år kommer övriga kostnader bestå i att ny personal behöver utbildas och befintlig personal vidareutbildas vid behov.
För små tillhandahållare bedöms de totala övriga kostnaderna till 3 132 224 kr i engångskostnader och 783 056 kr i årliga kostnader. För en liten tillhandahållare antas att en person årligen går utbildning i processer.
För medelstora tillhandahållare bedöms de totala övriga kostnaderna till 330 464 kr i engångskostnader och 123 924 kr i årliga kostnader. För en medelstor tillhandahållare antas att tre personer årligen går utbildning i processer.
För stora tillhandahållare bedöms de övriga kostnaderna till 143 680 kr i engångskostnader och 53 880 kr i årliga kostnader. För en stor tillhandahållare antas att sex personer årligen går utbildning i processer
PTS bedömer att kravet är rimligt eftersom ett övergripande
driftsäkerhetsarbete är en nödvändighet för sådana väl fungerande elektroniska kommunikationsnät och -tjänster som marknaden idag efterfrågar. De
merkostnader som kravet medför bedöms till viss del uppvägas av positiva effekter på verksamheten för den tillhandahållare som behöver vidta åtgärder enligt kravet, eftersom kravet syftar till att öka driftsäkerheten. En ökad
kunskap inom organisationerna om driftsäkerhetsfrågorna bör även kunna leda till minskade kostnader förknippade med genomförande av återställelsearbete och avbrottstider, och ökade intäkter genom möjlighet till kontinuerlig leverans av elektroniska kommunikationstjänster.
Dessutom bedöms kravet, såsom angivits ovan, inte föranleda så stora merkostnader eller förändringar för tillhandahållarna i och med att liknande krav redan gäller i de befintliga allmänna råden, dvs. det blir endast fråga om en viss vidareutveckling av tillhandahållarnas befintliga driftsäkerhetsarbete. Mot bakgrund av den ökade användningen och det ökade beroendet till driftsäkra nät och tjänster bedöms dessa merkostnader som rimliga.
